CN108900517A

CN108900517A - 一种基于hwmp协议的安全路由防御方法

Info

Publication number: CN108900517A
Application number: CN201810749972.9A
Authority: CN
Inventors: 石文孝; 王策; 欧阳敏; 袁浩
Original assignee: Jilin University
Current assignee: Jilin University
Priority date: 2018-07-10
Filing date: 2018-07-10
Publication date: 2018-11-27
Anticipated expiration: 2038-07-10
Also published as: CN108900517B

Abstract

本发明公开了一种基于HWMP协议的安全路由防御方法，属于无线网络安全领域，主要目的是解决目前的HWMP协议在网络攻击防御方面存在漏洞，在路由攻击发生时网络性能会降低的问题，本发明通过HWMP先验树模式，设置混合无线Mesh网络根节点并建立全网路由表；划分比较范围，利用空时链路度量对节点进行分类；获取节点路由应答帧内的目的节点序列号，设置检测优先级；按照分配的优先级依次监听疑似恶意节点，若在回传时间内没有收到回传信息，则标记为恶意节点，同时更新路由。本发明在HWMP基础上设计防御网络攻击的安全路由协议，为网络提供安全保障。当混合无线Mesh网络遭遇恶意攻击时，本发明可以有效提升网络性能。

Description

一种基于HWMP协议的安全路由防御方法

技术领域

本发明涉及无线网络安全领域，更具体地，本发明涉及一种基于HWMP协议的安全路由防御方法。

背景技术

无线Mesh网络(Wireless Mesh Network，WMN))具有高速率、自组织、易维护以及安装简便等特点，可以提供灵活便捷的连接服务，是无线通信网络的关键技术之一。混合无线Mesh网络(hybrid wireless mesh network，HWMN)兼具骨干WMN和客户端WMN的优点，是WMN中最为典型的网络架构，得到了广泛的应用。WMN主要包括两种类型的节点：Mesh路由器(Mesh Router，MR)和Mesh客户端(Mesh Client，MC)，其中MC一般是可移动的并且可用能量受限，MR是静态的、有持续电源供电。HWMN包含骨干WMN和客户端WMN两种网络类型，其中：骨干网的MR构成了网络的基础设施，以支撑全网的通信，骨干网中还有负责与外部网络相连的MR，称为网关；客户端网络的MC可以通过路由器或邻近的客户端接入到网络当中。

HWMN由于其开放的无线网络环境和多跳的通信方式，与传统网络相比，更容易受到恶意攻击。攻击者通过监听无线信道来获取数据或者伪装成合法节点处理路由消息，并对路由信息进行篡改。在HWMN中危害比较严重、发生比较普遍的攻击有黑洞攻击、自私节点攻击、拒绝服务攻击等。当HWMN遭遇攻击后，网络中的恶意节点会更改信息传输路径，阻止网络正常通信，严重破坏网络性能。网络安全问题是影响WMN推广进程的主要问题之一，但是现有对于HWMN的安全防御措施不够完善。目前应用于WMN中的网络安全保护机制主要分为三类：安全路由协议、防火墙和入侵检测系统。

尽管已经存在很多无线Mesh网络安全技术可供选择，但是无线Mesh网络安全研究还处于初级阶段。安全路由协议作为WMN防御网络攻击的第一道屏障，具有低开销、兼容性好等优点，受到国内外学者的广泛关注。现存的一些安全路由协议主要针对外部攻击，通过添加认证加密机制防御攻击。缺乏对内部恶意节点的识别和管理，无法抵御内部攻击。同时，现存的安全路由协议多数未考虑路由过程中节点的参与，缺乏针对性防御机制，防护效果不理想。

路由协议作为网络间共享路由信息的标准规范，对于网络的作用至关重要。目前在HWMN中的主要协议为HWMP(Hybrid Wireless Mesh Protocol)，基于HWMP设计具有针对性的防御机制，在路由攻击发生时提升网络性能，可以使安全路由协议更加实用。针对HWMP路由协议的安全漏洞加以改进，以解决现有混合Mesh网络遭受入侵时网络性能大幅下降甚至无法通信的问题。因此，设计新形的安全路由协议具有重要意义。

发明内容

目前的HWMP协议在网络攻击防御方面存在漏洞，在路由攻击发生时网络性能会降低，为了解决该问题，本发明在HWMP协议基础上提出一种混合无线Mesh网络安全路由防御方法，防御网络攻击，主要是路由攻击，当混合无线Mesh网络遭遇恶意攻击时有效提升网络性能。

本发明中一种基于HWMP协议的安全路由防御方法，具体方案如下：

步骤1)初始化网络，通过HWMP协议先验树模式，设置网关节点为根节点，由根节点周期性广播路由请求，根据路由回复建立全网路由表；

步骤2)设置比较时间阈值T_c，以根节点为中心，结合混合Mesh网络物理拓扑中各节点的邻接关系，划分初步检验范围，比较时间阈值T_c的单位为跳数；当节点位于比较时间阈值T_c划定的时间域内，则该节点属于初步检验范围，否则不属于初步检验范围；

初步检验：时间域内各节点计算路由应答消息的空时链路度量值C_i和各节点的空时链路度量的平均值C_ave，根据恶意节点会改小空时链路度量值C_i，导致该节点空时链路度量值C_i远小于C_ave的特性，将范围内节点初步划分为疑似恶意节点和正常节点；

步骤3)当某节点的邻居节点中存在疑似恶意节点时，由该节点获取疑似恶意节点路由应答帧内目的节点序列号，根据网络层攻击增大目的节点序列号的特点对疑似恶意节点的目的序列号降序排列，将序列号大的设定为高检测优先级，序列号小的设定为低检测优先级；

步骤4)按照分配的优先级依次监听疑似恶意节点，再由该节点向疑似恶意节点发送探测帧，根据节点通信时的发包间隔设置回传时间；若在回传时间内疑似恶意节点的邻居节点没有收到回传消息，则将疑似恶意节点标记为恶意节点；同时由恶意节点的该邻居节点广播路由错误消息，通告网络包含恶意节点的路径不可达；恶意节点的邻居节点发出路由错误消息后由根节点再次对网络进行初始化，更新网络拓扑，建立新的路由表，更新后的网络将不再包含恶意节点。

步骤1)中所述的网关节点必须满足：1)能够提供Internet有线接入；2)网络中主要数据流量都流经该节点。

步骤2)中利用空时链路度量(metric)的平均值C_ave将节点初步划分为疑似恶意节点和普通节点的方法具体如下：

时间阈内各节点路由的空时链路metric值C_i计算方法如下：

式中：O_i表示信道接入负载；O_p表示MAC层的协议开销；r为节点当前发送测试帧的传输速率；B_t表示测试帧比特数，e_f表示测试帧的误码率；i∈(1,N)，N为时间域内节点的个数。

根据式(1)计算比较范围内的空时链路度量metric平均值C_ave。

当节点空时链路度量metric值满足下式时，则该节点为正常节点：

C_i>C_ave×10^-t (2)

式中：t为比较因子，取值优选为2～4；除此之外的节点划分为疑似恶意节点。

步骤3)从疑似恶意节点的邻居节点获取疑似恶意节点路由应答帧内目的节点序列号，按照序列号大小将疑似恶意节点降序排列，排序越高的节点检测优先级越高，具体方法如下：

根据序列号的检测优先级P划分如下：

式中：S_E表示时间域内节点路由回复目的序列号的数学期望，通过步骤3)建立检测分级的机制可以节省开销。

对于同一优先级的网络节点，再通过跳数确定检测顺序，优先检测距离目的节点跳数更小的疑似恶意节点。对于节点跳数也相同的节点，则根据Mesh ID的序号大小决定检测顺序，优先检测Mesh ID序号较小的节点，所述的跳数和Mesh ID序号由邻居节点从路由应答消息中获取。目的节点为

本发明的有益效果：

1、本发明充分利用802.11s标准下的HWMP协议，使用HWMP的路由机制对混合无线Mesh网络进行初始化，建立全网路由表。在MAC层为节点分配路由地址，本发明与其他协议相比，将网络为节点设置路由的过程由网络层下降到数据链路层，使网络的动态拓扑更灵活；更适应实际的网络环境；同时提高了混合无线Mesh网络的可靠性和可扩展性。

2、本发明将空时链路metric作为检测参数对网络内节点进行初步检测，通过设计时间阈值确定比较范围。使网络受到攻击后可以识别恶意节点的关键指标异常，及时对攻击行为进行反应。初步检测也降低了检测步骤所需处理的数据量，当网络规模较大时减少网络资源占用，提高检测效率。

3、本发明通过目的节点序列号对疑似恶意节点进行分类，建立监测分级机制，减少最终的回传探测过程所需发送的数据包，尽力减低控制信息的流量，同时消除数据流量的影响。避免了网络由于路由消息重传造成的网络自环通信，极大地节省了网络开销。

4、基于看门狗原理设计的回传探测机制，使混合无线Mesh网络对节点异常行为更加敏感，对路由攻击具有针对性防御能力。当检测到路由攻击时，向网络发出警报，并及时更新网络拓扑，提高了检测的准确度。

5、本发明所设计的安全路由方法直接写入协议中属于网络自身的通信标准，与入侵检测系统和防火墙相比，开销更小、兼容性更强，使混合Mesh网络更易于在实际无线通信环境中部署。

附图说明

图1为混合无线Mesh网络安全路由防御方法总体设计流程图；

图2为先验式路由请求帧格式示意图；

图3为路由请求目的标记字段格式示意图；

图4为回传探测机制设计流程图；

图5为探测帧的帧格式示意图。

具体实施方式

下面结合附图以具体实施例的方式对本发明作进一步详细说明。

如图1所示，本实施例中一种基于HWMP协议的安全路由防御方法，具体步骤如下：

步骤1)基于HWMP协议，利用该协议的先验树模式，对网络进行初始化。

首先，选定根节点，选定根节点时应选择数据流量较为集中的Mesh网关作为MeshPortal节点，并将其设置为根节点；

然后，由根节点广播先验式路由请求，目的地址设置为广播地址，TO(TargetOnly)标志位置1，目的序列号值为上次发送消息的序列号加1，源地址为根节点的MAC地址。路由请求帧格式如图2所示，其中TO标志位在目的节点标记字段中，目的标记字段格式如图3所示。

经过对路由请求消息的设置，根节点周期性发送请求，根据接收到的路由回复消息，建立到所有节点的路由表，完成网络初始化。

步骤2)对网络所有节点进行初步检验，设定比较时间阈值T_c，以跳数为单位，默认值为1跳，可根据需求依次增加阈值扩大初步检验范围。以根节点为中心，结合混合Mesh网络物理拓扑中各节点的邻接关系，划分比较范围。

若将T_c设置为1，表示比较范围内包括根节点和邻居节点。利用空时链路度量(metric)对节点进行分类，空时链路度量(Metric)是路由度量值，用于度量数据帧发送的路由开销。时间域内各节点路由的空时链路度量metric值C_i计算方法如下：

根据式(1)计算比较范围内的空时链路度量metric平均值C_ave：

将节点i的空时链路metric值进行比较，以确定节点i的属性：

式中：E＝1表示节点为疑似恶意节点，否则为正常节点；t为比较因子，取值为2～4。

通过式(3)将节点分为疑似恶意节点和正常节点。为防止误检，继续检验疑似恶意节点。

步骤3)发起检测的节点通过疑似恶意节点的邻居节点接收疑似恶意节点路由应答消息获取帧内目的节点序列号SN，建立检测分级机制。根据目的节点序列号SN设置疑似恶意节点的检测优先级，根据网络层攻击特点按照目的序列号大小将疑似恶意节点降序排列，排序越高的节点检测优先级越高。根据序列号的检测优先级P划分如下：

式中：S_E表示时间域内节点路由回复目的序列号的数学期望，即时间域内节点路由回复目的序列号的平均值。

在划分优先级过程中，对于同一优先级的网络节点，通过跳数确定检测顺序。跳数越小代表通信路径越短，越容易被路由攻击伪造，因此本发明优先检测距离目的节点跳数更小的疑似恶意节点。对于路由信息相同的节点，本发明根据Mesh ID的序号大小决定检测顺序，优先检测序号较小的节点。跳数和Mesh ID序号由邻居节点从路由应答消息中获取。

步骤4)标记恶意节点并更新路由。基于看门狗原理设计回传探测机制，并按照步骤3)确定的检测优先级依次对疑似恶意节点进行回传探测，检测流程如图4所示。

首先，设置探测帧的回传时间T_b，本发明将节点通信时的发包间隔作为T_b的值，以减少探测帧对网络正常通信的影响。发起检测的节点向疑似恶意节点的邻居节点发出监听请求；

然后，由疑似恶意节点的邻居节点向待检测的节点单播探测帧，探测帧的帧格式如图5所示，其中探测帧的TTL(存活时间)设置为1，目的地址设置为待检测节点的MAC地址。网络要求正常节点接收到探测帧后，需要对源节点发出响应，回复数据包或确认字符ACK。

若在回传时间T_b内，疑似恶意节点的邻居节点未接收到应答消息，则标记所检测的节点即为恶意节点。由恶意节点的邻居节点向网络报警，提示遭遇攻击；同时由恶意节点的邻居节点广播路由错误消息，通告网络包含恶意节点的路径不可达。恶意节点的邻居节点发出路由错误消息后由根节点再次对网络进行初始化，更新网络拓扑，建立新的路由表，更新后的网络将不再包含恶意节点。

最后需要说明的是，以上实施案例仅用以说明而非限制本发明的技术方案，尽管参照上述实施案例对本发明进行了详细说明，本领域的普通技术人员应当理解，依然可以对本发明进行修改或者同等替换，而不脱离本发明的精神和范围。

Claims

1.一种基于HWMP协议的安全路由防御方法，具体步骤如下：

初步检验：计算时间域内各节点路由应答消息的空时链路度量值C_i和各节点的空时链路度量的平均值C_ave，根据恶意节点会改小空时链路度量值C_i，导致该节点空时链路度量值C_i远小于C_ave的特性，将范围内节点初步划分为疑似恶意节点和正常节点；

2.根据权利要求1所述的一种基于HWMP协议的安全路由防御方法，其特征在于，所述的网关节点必须满足：1)能够提供Internet有线接入；2)网络中主要数据流量都流经该节点。

3.根据权利要求1所述的一种基于HWMP协议的安全路由防御方法，其特征在于，步骤2)中利用空时链路度量的平均值C_ave将节点初步划分为疑似恶意节点和普通节点的方法具体如下：

时间阈内各节点路由的空时链路metric值C_i计算方法如下：

式中：O_i表示信道接入负载；O_p表示MAC层的协议开销；r为节点当前发送测试帧的传输速率；B_t表示测试帧比特数，e_f表示测试帧的误码率；i∈(1,N)，N为时间域内节点的个数；

根据式(1)计算比较范围内的空时链路平均值C_ave，

当节点的空时链路值C_i满足下式时，则该节点为正常节点：

C_i>C_ave×10^-t (2)

式中：t为比较因子，取值优选为2～4；否则节点被划分为疑似恶意节点。

4.根据权利要求1所述的一种基于HWMP协议的安全路由防御方法，其特征在于，步骤3)从疑似恶意节点的邻居节点获取疑似恶意节点路由应答帧内目的节点序列号，按照序列号大小将疑似恶意节点降序排列，排序越高的节点检测优先级越高，具体方法如下：

根据序列号的检测优先级P划分如下：

式中：S_E表示时间域内节点路由回复目的序列号的数学期望。

5.根据权利要求1所述的一种基于HWMP协议的安全路由防御方法，其特征在于，步骤3)对于同一优先级的网络节点，再通过与目的节点之间的跳数确定检测顺序，优先检测距离目的节点跳数更小的疑似恶意节点；对于距离目的节点跳数也相同的节点，则根据Mesh ID的序号大小决定检测顺序，优先检测Mesh ID序号较小的节点，与目的节点之间的跳数和Mesh ID序号由邻居节点从路由应答消息中获取。

6.根据权利要求1所述的一种基于HWMP协议的安全路由防御方法，其特征在于，步骤4)中将疑似恶意节点标记为恶意节点后，由恶意节点的该邻居节点向网络报警，提示遭遇攻击。